g-docweb-display Portlet

Trattamento di informazioni sulla solvibilità e affidabilità dei clienti da parte di una banca - 11 marzo 2010 [1715024]

Stampa Stampa Stampa
PDF Trasforma contenuto in PDF

[doc. web n. 1715024]

Trattamento di informazioni sulla solvibilità e affidabilità dei clienti da parte di una banca - 11 marzo 2010

IL GARANTE PER LA PROTEZIONE DEI DATI PERSONALI

In data odierna, in presenza del prof. Francesco Pizzetti, presidente, del dott. Giuseppe Chiaravalloti, vice presidente e del dott. Mauro Paissan, componente, e del dott. Daniele De Paoli, segretario generale reggente;

Visto il d.lg. 30 giugno 2003, n. 196 (Codice in materia di protezione dei dati personali);

Visto il "Codice di deontologia e di buona condotta per i sistemi informativi gestiti da soggetti privati in tema di crediti al consumo, affidabilità e puntualità nei pagamenti" promosso dal Garante ai sensi dell´art. 12 del Codice (Provv. del Garante n. 8 del 16 novembre 2004, pubblicato nella Gazzetta Ufficiale del 23 dicembre 2004, n. 300), entrato in vigore il 1° gennaio 2005;

Vista la segnalazione presentata il 12 maggio 2008 da XY nei confronti di Credito Bergamasco S.p.A.;

Vista la documentazione in atti;

Viste le osservazioni formulate dal segretario generale ai sensi dell´art. 15 del regolamento del Garante n. 1/2000;

Relatore il dott. Mauro Paissan;

PREMESSO

1. Con segnalazione del 12 maggio 2008, il sig. XY ha rappresentato che il Credito Bergamasco S.p.A. (di seguito, la Banca), a seguito di una sua richiesta volta ad ottenere un prestito personale, aveva interrogato, in relazione alla sua posizione, la Centrale dei rischi della Banca d´Italia e la Centrale dei rischi di importo contenuto, nonché il sistema di informazioni creditizie gestito da Crif S.p.A. (di seguito, Crif); all´esito di tali interrogazioni, che avevano evidenziato l´esistenza di una segnalazione negativa a suo nome presso la Centrale Rischi della Banca d´Italia, la Banca aveva deciso di non concedergli il finanziamento.

Successivamente, il segnalante si era rivolto ad altro istituto di credito e, in tale occasione, aveva avuto modo di apprendere che presso Crif risultava "un´operazione di "prestito rinunciato"; pertanto, egli aveva deciso di chiedere alla Banca chiarimenti in merito.

Non avendo inizialmente ottenuto riscontro, il sig. XY aveva esercitato i diritti di cui all´art. 7 del Codice nei confronti di Sia-Ssb (che gestisce la Centrale dei rischi della Banca d´Italia) e di Crif, apprendendo, in tale circostanza, che la Banca aveva interrogato entrambi i sistemi informativi e che l´indicazione afferente al prestito rinunciato era stata apposta nel sistema gestito da Crif. Chieste spiegazioni alla Banca in ordine a tale profilo, quest´ultima, dapprima, si era riservata ulteriori approfondimenti sul caso (nota 8 novembre 2007, in atti); successivamente aveva specificato che "a fronte della richiesta di prestito personale [del segnalante] la filiale" aveva provveduto "ad istruire una domanda di affidamento", precisando, altresì, che "in data 8 agosto 2007 la procedura di gestione della pratica" aveva interrogato "la Centrale Rischi gestita da Banca d´Italia […]". L´interrogazione era avvenuta, "come da prassi, nei segmenti "centrali rischi […] e "Centrale Rischi Associativa" (per importi contenuti; […])"; all´esito della stessa,  mentre "la richiesta alla C.R. associativa" non aveva fornito "alcuna evidenza, la C.R." aveva segnalato "sofferenze a suo nome sul "sistema". Infine, la Banca aveva dichiarato che "sulla base di tale riscontro la filiale" aveva deciso "di declinare la richiesta di affidamento, chiudendo la relativa istruttoria in data 9 agosto. Lo "scarico" della pratica", tuttavia, aveva comportato "una segnalazione alla Crif che veniva peraltro annotata con la motivazione "rinuncia", onde evitare ogni negativa valutazione" (v. nota della Banca del 29 gennaio 2008, in atti).

Con successive comunicazioni del 27 giugno e del 29-30 ottobre 2008 (v. note citate e documenti allegati), il segnalante ha dichiarato, tra l´altro, di non aver mai ricevuto dalla Banca l´informativa prescritta dall´art. 5 del codice deontologico in relazione al trattamento dei suoi dati e di non aver mai rilasciato il relativo consenso, ribadendo che la dicitura "prestito rinunciato" non corrispondeva a quanto effettivamente accaduto e lamentando il tardivo riscontro, da parte della Banca, al suo interpello preventivo.

2. A seguito di richiesta di informazioni, la Banca con nota del 15 dicembre 2008, ha dichiarato ai sensi e per  gli effetti dell´art. 168 del Codice che:

- "la filiale […] presso la quale si è presentato il sig. XYha istruito una pratica di affidamento per valutare la concessione del prestito personale richiesto";

- in fase di chiusura della proposta, la procedura [informatica che verifica la presenza di eventuali anomalie ai fini della valutazione del merito creditizio] ha evidenziato un messaggio di avvertimento che segnalava la presenza di una posizione catalogata a "sofferenza" a livello di sistema presso la Centrale Rischi della Banca d´Italia";

- "l´informativa al sig. XY a fronte della richiesta di prestito non è stata fornita direttamente all´interessato, in quanto affissa in modo ben visibile presso la filiale stessa, oltre che disponibile sul sito pubblico della Banca";

- "la Filiale ha provveduto a comunicare al sig. XY che il mancato accoglimento della richiesta di credito era dovuto al fatto che presso la Centrale Rischi della Banca d´Italia era evidenziata una posizione a "sofferenza" a Suo carico segnalata da altri intermediari e non dal Credito Bergamasco";

- la predisposizione della pratica di affidamento ha generato in automatico la segnalazione e la conseguente richiesta di apertura della posizione presso la banca dati gestita dalla Crif […]. Inoltre, tenuto conto che alla fine la pratica non è andata a buon fine, la sua archiviazione ha determinato una nuova segnalazione alla Crif con l´annotazione di "rinunciato", onde evitare ogni negativa valutazione sul merito creditizio dell´interessato;

- il ritardo nel riscontro all´interessato, […] è stato dovuto ai tempi tecnici necessari per ricostruire con la massima precisione la dinamica della vicenda […]".

3. Con ulteriore nota del 17 febbraio 2009, il segnalante, nel ribadire integralmente le proprie asserzioni, ha precisato: 1) di avere avanzato "informalmente, nel ristorante [presso il quale svolgeva la propria attività lavorativa all´epoca dei fatti], la […] richiesta di prestito personale"; 2) che "i documenti, anagrafici [e] fiscali [necessari per istruire la richiesta], furono consegnati, in busta chiusa […], presso la filiale […]".

4.1. Le risultanze istruttorie confermano l´avvenuta presentazione alla Banca, da parte del segnalante, di una richiesta di finanziamento. Ciò risulta documentato dagli atti prodotti da entrambe le parti e, ancor prima, pacificamente ammesso dall´istituto di credito; la richiesta, inoltre, ancorché presentata con modalità inconsuete, risulta comunque conforme a quanto indicato dall´art. 1, comma 1, lett. a) del codice di deontologia.

Dall´esame degli atti, inoltre, emerge che la Banca ha avviato l´istruttoria della richiesta di finanziamento senza rendere all´interessato la preventiva informativa prevista dall´art. 13 del Codice, e per la quale si sarebbero dovute osservare le specifiche modalità indicate dall´art. 5 del codice deontologico. La norma deontologica, infatti, la cui inosservanza comporta l´illiceità del trattamento di dati personali, prescrive espressamente che la Banca, in qualità di partecipante ai sistemi di informazione creditizia, è tenuta a fornire l´informativa "per iscritto" all´interessato "al momento della raccolta dei dati personali relativi a richieste/rapporti di credito […] anche con riguardo al trattamento dei dati personali effettuato nell´ambito di un sistema di informazioni creditizie".

Al riguardo, pur prendendosi atto che il modello di informativa reperibile sul sito Internet della Banca, predisposto in generale per la clientela che richiede finanziamenti, risulta conforme al Codice e alle previsioni contenute nell´art. 5 del codice di deontologia, con specifico riferimento al caso oggetto della presente segnalazione l´Autorità si riserva di provvedere -in separata sede- per la violazione dell´obbligo di rendere all´interessato una preventiva ed idonea informativa (artt. 13 e 161 del Codice).

4.2.  Alla luce di quanto rappresentato al punto 5 del presente provvedimento, ne consegue che il consenso al trattamento dei dati personali (che, il segnalante, peraltro, ha dichiarato a più riprese di non aver mai rilasciato), anche ove fosse stato richiesto dalla Banca e, successivamente, fornito dall´interessato, non sarebbe mai potuto risultare validamente prestato, proprio perché non preceduto da un´adeguata informativa, contenente gli elementi di cui all´art. 13 del Codice (art. 23, comma 3 del Codice) e quelli specifici previsti dall´art. 5 del citato codice di deontologia.

Da quanto esposto, si ricava che le modalità con cui i dati del sig.XY sono stati trattati da Credito Bergamasco S.p.A. non sono state rispettose del combinato disposto degli artt. 12, comma 3 e 11, comma 1, lett. a) del Codice, con conseguente violazione di regole di comportamento che lo stesso Preambolo del codice di deontologia (al punto 4) definisce "condizione essenziale per la liceità e la correttezza del trattamento".

Impregiudicati gli eventuali profili di responsabilità civile (art. 15 del Codice), si prescrive, pertanto, alla Banca di vigilare scrupolosamente sull´operato degli incaricati, sensibilizzandoli al rispetto delle regole di comportamento stabilite dal "Codice di deontologia e di buona condotta per i sistemi informativi gestiti da soggetti privati in tema di crediti al consumo, affidabilità e puntualità nei pagamenti" in caso di richieste di finanziamento da parte degli interessati.

5. Inoltre, sulla base delle stesse ammissioni della Banca, si rileva che la motivazione addotta dall´Istituto nel comunicare a Crif la ragione per la quale non si era proceduto a rilasciare il finanziamento (espressa nella dizione "prestito rinunciato") effettivamente non corrispondeva a verità, con la conseguenza che il relativo trattamento dell´informazione, ai sensi dell´art. 11, comma 1, lett. c) del Codice, non è stato conforme alla legge per inesattezza del dato. Al riguardo, tuttavia, si prende atto di quanto dichiarato da entrambe le parti, e cioè che attualmente, in considerazione dei tempi di conservazione dei dati nei sistemi di informazione creditizia previsti dall´art. 6 del codice di deontologia (trenta giorni dall´ultimo aggiornamento in caso di richieste di finanziamento rinunciate o rifiutate), tali informazioni non sono più presenti nel sistema, con conseguente venir meno dell´interesse del segnalante ad una correzione del dato stesso.

6. Infine, il riscontro fornito all´interessato a seguito dell´esercizio dei diritti di cui all´art. 7 del Codice, è risultato tardivo, atteso che, nonostante l´avvenuta ricezione di una nota interlocutoria inviatagli dalla Banca, il segnalante ha dovuto attendere complessivamente oltre due mesi dalla proposizione dell´istanza per ottenere il riscontro, peraltro privo degli estremi identificativi del sistema di informazioni creditizie oggetto di consultazione (art. 5, comma 6 del codice deontologico).

Ne consegue che deve prescriversi alla Banca di adottare le misure necessarie per assicurare che a tutte le istanze ritualmente proposte ai sensi dell´art. 7 del Codice sia fornito un idoneo e tempestivo riscontro nei termini di legge.

TUTTO CIÒ PREMESSO, IL GARANTE

ai sensi degli artt. 143, comma 1, lett. b), 144 e 154, comma 1, lett. c) del Codice, prescrive al Credito Bergamasco S.p.A., in persona del legale rappresentante pro tempore, di adottare le misure necessarie al fine di:

a) garantire, in caso di richieste di finanziamento da parte degli interessati, la scrupolosa vigilanza sull´operato degli incaricati, sensibilizzandoli al rispetto delle regole di comportamento stabilite dal "Codice di deontologia e di buona condotta per i sistemi informativi gestiti da soggetti privati in tema di crediti al consumo, affidabilità e puntualità nei pagamenti", che costituiscono condizione essenziale per la liceità e la correttezza dei trattamenti di dati personali effettuati dai SIC, come pure dagli istituti di credito e finanziari che li utilizzano ai fini del rilascio alla clientela di prestiti personali, mutui o finanziamenti (punti 4.1 e 4.2);

b) assicurare che a tutte le istanze ritualmente proposte ai sensi dell´art. 7 del Codice sia fornito un idoneo e tempestivo riscontro nei termini di legge (punto 6);

-  ai sensi dell´art. 157 del Codice chiede al Credito Bergamasco S.p.A., in persona del legale rappresentante pro tempore, di comunicare all´Autorità, entro trenta giorni dalla ricezione del presente provvedimento, le misure adottate per ottemperare alla decisione;

Roma, 11 marzo 2010

IL PRESIDENTE
Pizzetti

IL RELATORE
Paissan

IL SEGRETARIO GENERALE REGGENTE
De Paoli